Gdzie MODP3072 trafia w AWS Site-to-Site VPN
MODP3072 to grupa 15 IANA, ale grupa należy do fazy. Przypisz wymaganie do list DH dla Phase 1 lub Phase 2, zanim edytujesz tunel.
Ktoś wysyła ci wymaganie, w którym jest IKEv2, ESP i MODP3072, a konsola nie ma pola o tej nazwie. Błędem jest zacząć takiego pola szukać. IKEv2 to wersja negocjacji, ESP to protokół przenoszący twój chroniony ruch, a MODP3072 to grupa wymiany kluczy, czyli grupa 15 IANA. Te trzy fakty mieszkają w trzech różnych miejscach, a grupa pojawia się dwa razy.
To zdanie nie jest jednym ustawieniem
Zamień wymaganie na listy opcji, zanim czegokolwiek dotkniesz. Tabela poniżej to całe odwzorowanie.
| Agreed requirement | AWS option to review | Still a separate decision |
|---|---|---|
| IKEv2 | Allowed IKE versions | Encryption, integrity, key-exchange choices |
| MODP3072 for the IKE exchange | Phase 1 DH groups, group 15 | Phase 2 key-exchange and PFS policy |
| MODP3072 for the protected-traffic exchange | Phase 2 DH groups, group 15 | The initial IKE exchange group |
| A named encryption algorithm | That phase's encryption list | Integrity and DH-group agreement |
MODP3072 to grupa 15, a AWS obecnie akceptuje 15 zarówno na liście grup DH dla Phase 1, jak i dla Phase 2. Akceptowanie jej w obu miejscach to nie to samo co wymaganie jej w obu, i z pewnością nie oznacza, że twój partner miał na myśli oba.
Phase 1 i Phase 2 negocjują różne rzeczy
Phase 1 buduje asocjację bezpieczeństwa IKE: jak dwie bramy się uwierzytelniają, uzgadniają klucze i chronią własną rozmowę. Phase 2 buduje CHILD SA, który przenosi twój rzeczywisty ruch, a jego wymiana kluczy może być nowa, a nie odziedziczona.
Właśnie ten podział sprawia, że ma znaczenie, gdy partner mówi o doskonałej poufności przekazywania. PFS jest właściwością Phase 2, a grupa z listy Phase 1 jej nie zapewnia. Zapytaj, której wymiany dotyczy każde wymaganie, wraz z trybem szyfrowania, czy integralność zapewnia szyfr AEAD i jakie są oczekiwania dotyczące odświeżania kluczy po obu stronach.
Nie wnioskuj pełnego akceptowalnego zestawu ze słowa AES ani z jednego numeru DH. Polityka złożona z dwóch połówek dwóch rozmów to sposób, w jaki tunel kończy, proponując coś, na co nie zgodził się żaden z zespołów.
Dozwolona lista nie jest wynikiem negocjacji
Listy opcji opisują, co każda strona jest gotowa zaakceptować. Nie informują, co wybrano. Przeczytaj faktycznie wybrane propozycje IKE i CHILD-SA dla nowego połączenia, a następnie potwierdź, że wymaganie jest spełnione, a nie tylko dozwolone. Mocna opcja na liście dowodzi jedynie, że była dostępna.
Uważaj też na odnowienie. Pierwszy CHILD SA IKEv2 i późniejsza wymiana CHILD z PFS mogą ujawnić różne warunki zgodności, ponieważ druga wymiana tworzy świeży materiał klucza z grupą PFS. Jeśli twój test odbiorczy obejmuje tylko pierwszą minutę tunelu, nie sprawdził części, na której zależy twojemu partnerowi.
Dokumentacja opcji tunelu AWS wymienia Phase 1 i Phase 2 osobno, i właśnie tę strukturę warto przyswoić, zanim pojawi się następne wymaganie.
Zmieniaj tunel, który naprawdę masz na myśli
Połączenie VPN Site-to-Site ma dwa tunele z własnymi opcjami i własnym stanem. Zanim cokolwiek przejrzysz lub edytujesz, dopasuj zewnętrzny adres tunelu AWS do peera po stronie bramy klienta i nie zakładaj, że jedno zapisanie aktualizuje oba.
Zatwierdzona zmiana wymaga przygotowania strony bramy klienta na tę samą politykę oraz okna na przerwę, którą poniesie wybrany tunel. Jeśli peer nie jest gotowy na grupę 15 w fazie, którą zmieniasz, tunel po prostu przestanie się podnosić, a konsola nie powie ci, która strona odmówiła.
Zapisz uzgodnioną politykę jako fazę, wersję protokołu, szyfrowanie, integralność i grupę DH, a następnie potwierdź ją na wymianach, które ma chronić. Routing, selektory ruchu i uprawnienia aplikacji pozostają osobno; to odwzorowanie nie jest pełną konfiguracją bramy i nie jest zaleceniem włączania dodatkowych algorytmów dla różnorodności.